Eg viser til innlegget mitt rundt Schrems II-dommen og tilrådingane som er godt frå personvernrådet i EU (EDPB). Høyringsfristen er ute for tilrådingane og innspel er no publisert. Eg har lest gjennom mange gode innspel frå ulike aktørar, men skal ein sjå på retninga vi kan forvente, trur eg innspelet frå noyb (Max Schrems sin organisasjon) vil vere sentralt med tanke på kva som blir den endelege tilrådinga frå EDPB. For å summere det opp:

Stopp og full retrett i bruk av (sky)tenester som har drift eller eigarskap utanfor EU/EØS, samt nokre få land EU meiner har tilstrekkeleg personvern.

La meg plukke fram nokre moment frå noyb sine innspel på tilrådingane frå EDPB:

• Side 2: «The European Legislator has de facto established an export ban for personal data…. is nevertheless the current state of the law.»
• På side 3 peikar noyb på at ein er forplikta til å stoppe og avvikle overføringar der personvernet ikkje er tilstrekkelig ivareteke (f.eks. USA-baserte tjenester).
• På side 5 får Datatilsyn i landa peppar for å ikkje å være klare nok. Alle ventar på at nokon gjer det første trekket. noyb minner om at Datatilsyna er forplikta til å bidra til stopp og avvikling av overføringar. Eg kan leggje til at noyb på side 7, avsnitt 2 ytrar ein viss frustrasjon over mangelen på handling, berre skriving av rapportar, dokument og vurderingar.
• På side 8 er noyb krystallklar på at risikobasert tilnærming ikkje er eit alternativ.
• På side 10 peikar noyb på at man ikkje skal ta omsyn til sannsynet for at nokon nyttar seg av retten og moglegheita for tilgang. I anbefalingene i slutten av kapittelet vert det peika på ein ved tvil alltid skal leggje til grunn at personvernet i landet IKKJE er godt nok.
• Eg tolkar at noyb meiner at pseudonymisering ikkje er tilstrekkelig og ber om at det vert fjerna om eit mogleg tiltak.
• I kapittel 11 peikar noyb på alle som kjem med «deceptive promises all the way to fraudulent behavior». Det vert illustrert med lovnadene til Microsoft som punktvis blir gått gjennom og punktert. noyb ber Datatilsyna i EU/EØS ta tak i slik villeiande informasjon.
• Om det er noko positivt her er det at noyb (i kap. 12) ber om at EDPB eller lokale Datatilsyn, direkte eller indirekte, tilbyr informasjon om ulike land (utanfor EU/EØS).

Legg vi til grunn at det ikkje blir dei store endringane, men presiseringar frå EDPB, som følgje av innspelet frå noyb, betyr det i praksis at private og offentlege norske verksemder skal, eller faktiskt allereie skulle ha, slutta å bruke løysingar eller tenester som:

• Microsoft 365
• Google Worksuite (Gmail osv.)
• Google Analytics
• Vimeo
• Youtube
• Zoom
• WordPress
• Microsoft Azure
• Amazon Web Services
• Google Cloud
• Oracle Cloud
• Telefonar som krev knytning til Google eller Apple
• Cloudflare eller Akamai for å beskytte sine nettsider mot DDoS
• Andre tenester som har eigarskap utanfor EU/EØS og nokre få land
• osv.

PS! Alle Tesla-bilar blir deaktivert, medan prisane på Nissan Leaf vil stige til uante høgder sidan Japan er vurdert til å ha tilstrekkeleg personvern.